Sophos NGFW Xác định người dùng bằng Agent (CAA)

tayle · Lúc 10:41:28, Thứ ba

Cấu hình xác định người dùng bằng Agent được cài đặt trên máy tính người dùng
(User được tạo local trên NGFW và thông qua tích hợp với AD (Active Directory))

I. Lý thuyết
1. Tổng quan
Với môi trường Domain lớn, người ta thường dùng STAS (Sophos Transparent Authentication Suite). STAS cài trên AD Server, tự động phát hiện user khi họ login vào Windows mà không cần cài agent lên từng máy con. Chỉ dùng Agent (CAA) cài trên máy khi:
Máy tính không join domain.
Hệ điều hành là macOS hoặc Linux (nơi STAS hạn chế).
STAS hoạt động không ổn định.
2. Tóm tắt luồng hoạt động

Người dùng mở máy tính.
Phần mềm Agent (được cấu hình Auto-launch) bật lên.
Người dùng nhập user/pass (hoặc Agent tự nhớ) -> Gửi thông tin đến Sophos XG.
Sophos XG kiểm tra với AD Server (nếu là user AD) hoặc Database nội bộ (nếu là user Local).
Nếu đúng -> Sophos map IP của máy tính đó với Username đó.
Khi user truy cập mạng, Firewall Rule sẽ kiểm tra xem User này có được phép đi qua không.

II. Mô hình

III. Cấu hình
Bước 1: Tích hợp Active Directory (AD) vào Sophos XG
Trước hết, bạn cần đảm bảo Sophos XG có thể kết nối với AD để xác thực các user miền (domain users).

Truy cập Configure > Authentication > Servers.
Nhấn Add để thêm server mới.
Chọn Server type là Active Directory.
Điền các thông tin:
Server IP/Port: IP của máy chủ AD (thường là port 389 hoặc 636 nếu dùng SSL).
NetBIOS domain: Tên domain (VD: COMPANY).
ADS User Name/Password: Tài khoản Administrator của AD để Sophos có quyền query thông tin.
Connection Security: Chọn Simple hoặc SSL/TLS tùy cấu hình AD.
Nhấn Test Connection để đảm bảo kết nối thành công.

Hình 1.1. Lấy thông tin NetBIOS, Display Name Attribute trên DC

Hình 1.2. Khai báo DC trên Sophos

Sau khi lưu, nhấn vào biểu tượng Import (hình mũi tên tải xuống) bên cạnh AD Server vừa tạo để import các Groups hoặc OU từ AD vào Sophos XG.

Hình 1.3. Import Group từ DC lên Sophos

Hình 1.4. Kết nối thành công từ Sophos đến AD

Hình 1.5. Kiểm tra thông tin về User/Group Local và AD

Bước 2: Cấu hình ưu tiên xác thực (Authentication Services)

Truy cập Configure > Authentication > Services.
Tại mục Firewall authentication methods:
Chọn AD Server bạn vừa tạo ở Bước 1.
Chọn Local.
Quan trọng: Sắp xếp thứ tự sao cho AD Server nằm trên cùng, sau đó đến Local. Điều này đảm bảo user AD được ưu tiên xác thực đúng.

Hình 2.1. Cấu hình Authentication Methods

Bước 3: Tải và Cài đặt Agent (Client Authentication Agent)
Đây là bước thực hiện trên máy tính của người dùng (User PC). Agent này được tải về từ User Portal của Sophos XG.
3.1. Kích hoạt User Portal (Nếu chưa bật):

Vào Administration > Device Access.
Tick chọn User Portal ở zone LAN (hoặc zone mà người dùng đang kết nối).

Hình 3.1. Cấu hình Local Service User Portal

3.2. Tải Agent:

Từ máy tính người dùng, mở trình duyệt và truy cập: https://<IP_LAN_Sophos_XG>:443 (hoặc port User Portal bạn đã đổi).
Đăng nhập bằng tài khoản người dùng (AD hoặc Local đều được).
Tại giao diện User Portal, chọn tab Download Client (Tải xuống máy khách).
Tìm mục Authentication Client và nhấn Download for Windows (hoặc macOS/Linux tương ứng).

Hình 3.2. Port cấu hình của Portal

Hình 3.3. Truy cập User Portal

Hình 3.4. Download các Authentication Clients về máy Client tương ứng

3.3. Cài đặt và Đăng nhập:

Cài đặt file .exe vừa tải về trên máy người dùng.
Sau khi cài xong, mở ứng dụng Sophos Authentication Agent (thường có icon hình cái khiên màu xanh/trắng ở khay hệ thống).
Nhập thông tin:
Username/Password: Tài khoản AD hoặc Local của người dùng.
Nhấn Login. Nếu thành công, biểu tượng sẽ sáng lên và thông báo đã xác thực.

Hình 3.5. File .exe của gói Authentication Client for Windows

Hình 3.6. Cài đặt CAA

Hình 3.7. Sau khi cài đặt thành công thì xuất hiện Client Authentication Agent

Bước 4: Tạo Policy áp dụng cho User (Identity-based Rule)

Vào Protect > Rules and policies > Firewall rules.
Tạo mới hoặc sửa Rule cho phép ra internet (LAN to WAN).
Kéo xuống phần Identity and control (hoặc User/Network Rule ở phiên bản cũ):
Tick chọn Match known users.
Tại mục Show captive portal to unknown users, bạn BỎ TICK (Vì chúng ta đang dùng Agent, không dùng Web Captive Portal).
Trong danh sách Users or groups, thêm các Group AD hoặc User Local mà bạn muốn áp dụng chính sách này.
Lưu Rule lại